Définir les autorisations des pipelines

Azure DevOps Services | Azure DevOps Server 2022 | Azure DevOps Server 2019

Les autorisations et les rôles de pipeline vous aident à gérer vos pipelines en toute sécurité. Vous pouvez définir des autorisations hiérarchiques au niveau de l’organisation, du projet et de l’objet pour tous les pipelines d’un projet ou pour un pipeline individuel. Pour mettre à jour les autorisations de pipeline, utilisez des groupes de sécurité ou ajoutez des utilisateurs individuellement.

Les autorisations au niveau de l’objet sont plus granulaires que les autorisations au niveau de l’organisation, ce qui vous permet d’améliorer la sécurité de votre pipeline. Par exemple, un utilisateur peut avoir accès à votre référentiel Azure Repos grâce à ses autorisations au niveau de l’organisation, mais être empêché d’exécuter manuellement un pipeline du fait des autorisations de cet objet ou de ce pipeline.

Dans cet article, les autorisations sont décomposées selon les niveaux suivants :

• Autorisations au niveau du projet
• Autorisations au niveau de l’objet :
  • Version release
  • Groupe de tâches
  • Pool d’agents
  • Bibliothèque
  • Connexion du service
  • Pool de déploiement
  • Environment

Pour plus d’informations, consultez Prise en main des autorisations, des accès et des groupes de sécurité, Sécurisation d’Azure Pipelines et Vérification des autorisations des contributeurs.

Pour plus d’informations sur la définition des autorisations avec Azure CLI, consultez la référence Azure CLI.

Prérequis

• Vous devez, pour pouvoir gérer les autorisations des groupes au niveau du projet et ajouter des utilisateurs à Azure Pipelines, être administrateur de projet. Pour plus d’informations, consultez Autorisations des groupes au niveau du projet.
• Vous devez, pour pouvoir gérer les autorisations des groupes au niveau de la collection, être administrateur de collection de projets. Pour plus d’informations, consultez Groupes au niveau de la collection.
• Gardez à l’esprit les informations suivantes lorsque vous définissez des autorisations de pipeline.
  • Dans de nombreux cas, Supprimer le pipeline de build est défini sur Autoriser. Sinon, ces membres de l’équipe ne pourront pas supprimer leurs propres pipelines de build.
  • Sans l’autorisation Supprimer les builds, les utilisateurs ne peuvent pas supprimer leurs propres builds terminées. Ils ont toutefois la possibilité de supprimer automatiquement les anciennes builds inutiles avec des stratégies de rétention.
  • Nous vous recommandons de ne pas accorder d’autorisations directes à un utilisateur. Il est préférable d’ajouter l’utilisateur au groupe d’administrateurs de build ou à un autre groupe, et de gérer les autorisations de ce groupe.

Pour plus d’informations et pour connaître les meilleures pratiques, consultez Sécurisation d’Azure Pipelines.

Définir les autorisations de pipeline au niveau du projet

Procédez comme suit pour définir les autorisations au niveau du projet de tous les pipelines.

1. Connectez-vous à votre organisation (https://dev.azure.com/{yourorganization}).

2. Dans votre projet, sélectionnez Pipelines>Pipelines.

   

3. Sélectionnez Autres actions>Gérer la sécurité.

   

4. Modifiez les autorisations associées à un groupe Azure DevOps (par exemple Administrateurs de build) ou à un utilisateur individuel.

5. Sélectionnez Autoriser ou Refuser pour l’autorisation d’un groupe de sécurité ou d’un utilisateur individuel, puis quittez l’écran.

Les autorisations des pipelines au niveau du projet sont définies.

Définition des autorisations de pipelines individuels

Procédez comme suit pour définir les autorisations d’un pipeline individuel.

1. Dans votre projet, sélectionnez Pipelines>Pipelines.

   

2. Sélectionnez un pipeline individuel, puis Autres actions>Gérer la sécurité.

   

3. Définissez des autorisations, puis sélectionnez Enregistrer pour enregistrer vos modifications.

Informations de référence sur les autorisations des pipelines

Les autorisations suivantes peuvent être définies pour tous les pipelines d’un projet ou pour un pipeline individuel. Les valeurs par défaut s’appliquent aux collections de projets et aux groupes de projets. Par exemple, les administrateurs de collection de projets, les administrateurs de projet et les administrateurs de build disposent par défaut de toutes ces autorisations.

Autorisation	Description
Administrer les autorisations de builds	Peut modifier toutes les autres autorisations indiquées ici.
Supprimer le pipeline de build	Peut supprimer le ou les pipelines de build.
Supprimer les builds	Peut supprimer les builds d’un pipeline. Les builds supprimées sont conservées pendant une certaine période dans l’onglet Supprimé avant d’être détruites.
Détruire les builds	Peut supprimer des builds dans l’onglet Supprimé.
Modifier le pipeline de build	Peut créer des pipelines et enregistrer toutes les modifications apportées à un pipeline de build, notamment les variables de configuration, les déclencheurs, les référentiels et la stratégie de rétention.
Modifier la qualité de la build	Peut ajouter des balises à une build.
Gérer les qualités de la build	S’applique uniquement aux builds XAML.
Gérer la file d'attente de builds	S’applique uniquement aux builds XAML.
Remplacer la validation de l'archivage par build	S’applique aux builds d’archivage contrôlé TFVC. Ne s’applique pas aux builds de demande de tirage (pull request).
Mettre les builds en file d’attente	Peut mettre de nouvelles builds en file d’attente.
Modifier la configuration de build en file d’attente	Peut spécifier des valeurs pour les paramètres de texte libre (par exemple, de type object) et les variables de pipeline lors de la mise en file d’attente de nouvelles builds.
Conserver indéfiniment	Peut activer et désactiver l’indicateur Conserver indéfiniment sur une build.
Arrêter les builds	Peut arrêter les builds mises en file d’attente par d’autres membres de l’équipe ou par le système.
Mettre à jour les informations de build	Il est recommandé de ne pas y toucher. Cette autorisation est destinée à activer les comptes de service, et non les membres de l’équipe.
Afficher le pipeline de build	Peut afficher le ou les pipelines de build.
Afficher les builds	Peut afficher les builds appartenant au ou aux pipelines de build.

Tous les membres de l’équipe sont membres du groupe Contributeurs. Cette autorisation de groupe permet de définir et de gérer les builds et les mises en production. Les groupes intégrés les plus courants incluent les lecteurs, les contributeurs et les administrateurs de projet.

Pour plus d’informations, consultez les articles suivants :

• Informations de référence succinctes sur les autorisations par défaut et l’accès
• À propos des autorisations et de l’héritage
• À propos des rôles de sécurité.

Définition des autorisations des mises en production

Les autorisations des pipelines de mise en production suivent un modèle hiérarchique. Vous pouvez définir des autorisations par défaut au niveau du projet et les remplacer pour un pipeline de mise en production individuel.

Définition de toutes les autorisations de mise en production

Procédez comme suit pour mettre à jour les autorisations de toutes les mises en production.

1. Sélectionnez l’affichage Fichiers.

   

2. Sélectionnez le dossier Tous les pipelines.

   

3. Sélectionnez Autres actions, puis Sécurité.

4. Définissez des autorisations, puis sélectionnez Enregistrer pour enregistrer vos modifications.

Définition des autorisations de mises en production individuelles

Procédez comme suit pour mettre à jour les autorisations d’une mise en production individuelle.

1. Sélectionnez la mise en production à modifier.

2. Sélectionnez Autres actions>Sécurité.

3. Définissez des autorisations, puis sélectionnez Enregistrer pour enregistrer vos modifications.

Informations de référence sur les autorisations des mises en production

Les autorisations des mises en production sont définies dans le tableau suivant. La colonne d’étendue indique si l’autorisation peut être définie au niveau du projet, du pipeline de mise en production ou de la phase.

Autorisation	Description
Administrer les autorisations des mises en production	Peut modifier toutes les autres autorisations indiquées ici. Étendues : projet, pipeline de mise en production ou phase
Créer des mises en production	Peut créer de nouvelles mises en production. Étendues : projet ou pipeline de mise en production
Supprimer le pipeline de mise en production	Peut supprimer le ou les pipelines de mise en production. Étendues : projet ou pipeline de mise en production
Supprimer la phase de mise en production	Peut supprimer la ou les phases du ou des pipelines de mise en production. Étendues : projet, pipeline de mise en production ou phase
Supprimer les mises en production	Peut supprimer les mises en production d’un pipeline. Étendues : projet ou pipeline de mise en production
Modifier le pipeline de mise en production	Peut enregistrer toutes les modifications apportées à un pipeline de mise en production, notamment les variables de configuration, les déclencheurs, les artefacts et la stratégie de rétention, ainsi que la configuration au sein d’une phase du pipeline de mise en production. Pour mettre à jour une phase spécifique d’un pipeline de mise en production, l’utilisateur a également besoin de l’autorisation Modifier la phase de mise en production. Étendues : projet ou pipeline de mise en production
Modifier la phase de mise en production	Peut modifier la ou les phases du ou des pipelines de mise en production. Pour enregistrer les modifications apportées au pipeline de mise en production, l’utilisateur a également besoin de l’autorisation Modifier le pipeline de mise en production. Cette autorisation contrôle également s’il peut modifier la configuration à l’intérieur de la phase d’une instance de mise en production spécifique. Il doit aussi disposer de l’autorisation Gérer les mises en production pour pouvoir enregistrer la mise en production modifiée. Étendues : projet, pipeline de mise en production ou phase
Gérer les déploiements	Peut lancer le déploiement d’une mise en production sur une phase. Cette autorisation n’est destinée qu’aux déploiements déclenchés manuellement par l’action Déployer ou Redéployer dans une mise en production. Si la condition d’une phase est définie sur un type de déploiement automatique, le système lance automatiquement le déploiement sans vérifier l’autorisation de l’utilisateur qui a créé la mise en production. Si la condition établie implique de commencer après une phase donnée, les déploiements lancés manuellement n’attendent pas que ces phases réussissent. Étendues : projet, pipeline de mise en production ou phase
Gérer les approbateurs de mise en production	Peut ajouter ou modifier des approbateurs pour les phases du ou des pipelines de mise en production. Cette autorisation contrôle également si l’utilisateur peut modifier les approbateurs à l’intérieur de la phase d’une instance de mise en production spécifique. Étendues : projet, pipeline de mise en production ou phase
Gérer les mises en production	Peut modifier la configuration dans les mises en production. Pour modifier la configuration d’une phase spécifique d’une instance de mise en production (notamment les variables marquées comme settable at release time), l’utilisateur a également besoin de l’autorisation Modifier la phase de mise en production. Étendues : projet ou pipeline de mise en production
Afficher le pipeline de mise en production	Peut afficher le ou les pipelines de mise en production. Étendues : projet ou pipeline de mise en production
Afficher les mises en production	Peut afficher les mises en production appartenant au ou aux pipelines de mise en production. Étendues : projet ou pipeline de mise en production

Les valeurs par défaut de toutes les autorisations s’appliquent aux collections de projets d’équipe et aux groupes de projets. Par exemple, les administrateurs de collection de projets, les administrateurs de projet et les administrateurs de mise en production disposent par défaut de toutes les autorisations de la liste ci-dessus. Toutes les autorisations sont accordées aux contributeurs, à l’exception de l’autorisation Administrer les autorisations des mises en production. Par défaut, les lecteurs ne bénéficient que des autorisations Afficher le pipeline de mise en production et Afficher les mises en production.

Définition des autorisations des groupes de tâches

Utilisez des groupes de tâches pour combiner une séquence de tâches déjà définie dans un pipeline en une seule tâche réutilisable.

Les autorisations des groupes de tâches suivent un modèle hiérarchique. Vous pouvez définir des autorisations par défaut au niveau du projet et les remplacer sur un pipeline de groupe de tâches individuel.

Définition des autorisations des groupes de tâches au niveau du projet

Procédez comme suit pour mettre à jour les autorisations des groupes de tâches au niveau du projet.

Notes

À la différence des modèles, les groupes de tâches ne sont pas pris en charge dans les pipelines YAML. Pour plus d’informations, consultez Informations de référence sur le schéma YAML.

1. Dans votre projet, sélectionnez Pipelines>Groupes de tâches.

   

2. Sélectionnez Sécurité.

   

3. Sélectionnez Autoriser ou Refuser pour l’autorisation d’un groupe de sécurité ou d’un utilisateur individuel.

Définition des autorisations des groupes de tâches au niveau du pipeline

Procédez comme suit pour mettre à jour les autorisations des groupes de tâches au niveau du pipeline.

1. Dans votre projet, sélectionnez Pipelines>Groupes de tâches.

   

2. Sélectionnez un groupe de tâches.

3. Sélectionnez Autres actions>Sécurité.

4. Sélectionnez Autoriser ou Refuser pour l’autorisation d’un groupe de sécurité ou d’un utilisateur individuel.

Informations de référence sur les autorisations des groupes de tâches

Autorisation	Description
Administrer les autorisations des groupes de tâches	Peut ajouter et supprimer des utilisateurs ou des groupes à la sécurité du groupe de tâches.
Supprimer le groupe de tâches	Peut supprimer un groupe de tâches.
Modifier le groupe de tâches	Peut créer, modifier et supprimer un groupe de tâches.

Définition des autorisations des pools d’agents

Vous pouvez utiliser des rôles prédéfinis afin de configurer de manière hiérarchique la sécurité sur les pools d’agents pour tous les pools ou pour un pool individuel. Procédez comme suit pour définir les autorisations de tous les pools d’agents.

Définition des autorisations de tous les pools d’agents

Procédez comme suit pour mettre à jour les autorisations de tous les pools d’agents.

1. Dans votre projet, sélectionnez Paramètres du projet>Pools d’agents.

2. Sélectionnez Sécurité.

   

3. Définissez des autorisations, puis sélectionnez Enregistrer pour enregistrer vos modifications.

Définition des autorisations de pools d’agents individuels

Procédez comme suit pour définir les autorisations d’un pool d’agents individuel.

1. Dans le pool d’agents, sélectionnez l’agent.

2. Sélectionnez Sécurité.

   

3. Définissez des autorisations, puis sélectionnez Enregistrer pour enregistrer vos modifications.

Définition des autorisations des bibliothèques

Utilisez un groupe de variables pour stocker les valeurs que vous souhaitez rendre disponibles sur plusieurs pipelines de build et de mise en production. Définissez des rôles pour mieux configurer la sécurité sur les entités de bibliothèque partagées. Vous pouvez également configurer l’héritage des rôles.

Procédez comme suit pour gérer les autorisations des artefacts de bibliothèque, notamment les groupes de variables et les fichiers sécurisés.

1. Dans votre projet, sélectionnez Pipelines>Bibliothèque.

   

2. Sélectionnez Sécurité.

   

3. Définissez les autorisations de tous les éléments de votre bibliothèque ou bien d’un groupe de variables ou fichier sécurisé individuel, puis sélectionnez Enregistrer pour enregistrer vos modifications.

Informations de référence sur les autorisations des bibliothèques

Rôle	Description
Administrateur	Peut modifier et supprimer les éléments de bibliothèque, et gérer la sécurité.
Creator	Peut créer des éléments de bibliothèque.
Lecteur	Peut seulement lire les éléments de bibliothèque.
Utilisateur	Peut consommer les éléments de bibliothèque dans les pipelines.

Définition des autorisations des connexions de service

Configurez les autorisations de toutes les connexions de service ou d’une connexion individuelle.

Définition des autorisations de toutes les connexions de service

Procédez comme suit pour configurer les autorisations de toutes les connexions de service.

1. Dans votre projet, sélectionnez Paramètres du projet.
2. Sélectionnez Connexions de service sous Pipelines.
3. Définissez des autorisations, puis sélectionnez Enregistrer pour enregistrer vos modifications.

Définition des autorisations de connexions de service individuelles

Procédez comme suit pour configurer les autorisations d’une connexion de service individuelle.

1. Dans votre projet, ouvrez une connexion de service.

2. Sélectionnez Autres actions>Sécurité.

3. Définissez des autorisations, puis sélectionnez Enregistrer pour enregistrer vos modifications.

   

Si vous rencontrez des problèmes avec les autorisations et les connexions de service, consultez Résolution des problèmes liés aux connexions de service Azure Resource Manager.

Informations de référence sur les autorisations des connexions de service

Rôle	Description
Utilisateur	Peut utiliser le point de terminaison lors de la création de pipelines de build ou de mise en production.
Administrateur	Peut gérer l’appartenance de la connexion de service à tous les autres rôles et utiliser le point de terminaison pour créer des pipelines de build ou de mise en production. Le système ajoute automatiquement l’utilisateur qui a créé la connexion de service au rôle Administrateur de ce pool.

Définition des autorisations des pools de déploiement

Vous pouvez définir les rôles de sécurité par défaut de tous les groupes de déploiement et gérer les rôles de sécurité d’un groupe de déploiement individuel.

Définition des autorisations de tous les pools de déploiement

1. Dans votre projet, sélectionnez Paramètres du projet.

2. Sélectionnez Groupes de déploiement sous Pipelines.

3. Définissez des autorisations, puis sélectionnez Enregistrer pour enregistrer vos modifications.

   

Définition des autorisations de groupes de déploiement individuels

1. Dans votre projet, ouvrez un pool de déploiement.
2. Sélectionnez Autres actions>Sécurité.
3. Définissez des autorisations, puis sélectionnez Enregistrer pour enregistrer vos modifications.

Informations de référence sur les autorisations des pools de déploiement

Rôle	Description
Lecteur	Peut seulement afficher les pools de déploiement.
Compte de service	Peut afficher les agents, créer des sessions et écouter les travaux du pool d’agents.
Utilisateur	Peut afficher et utiliser le pool de déploiement pour créer des groupes de déploiement.
Administrateur	Peut administrer, gérer, afficher et utiliser les pools de déploiement.

Définition des autorisations des environnements

Vous pouvez utiliser des rôles et des autorisations utilisateur pour contrôler qui peut créer, afficher et gérer des environnements. Appliquez une hiérarchie de rôles à tous les environnements ou à un seul.

Définition des autorisations de tous les environnements

1. Dans votre projet, sélectionnez Paramètres du projet.

2. Sélectionnez Environnements sous Pipelines.

3. Définissez des autorisations, puis sélectionnez Enregistrer pour enregistrer vos modifications.

   

Définition des autorisations d’environnements individuels

Sélectionnez Sécurité dans Autres actions pour modifier les autorisations pour tous les environnements.

1. Dans votre projet, ouvrez un environnement.
2. Sélectionnez Autres actions>Sécurité.
3. Définissez des autorisations, puis sélectionnez Enregistrer pour enregistrer vos modifications.

Informations de référence sur les autorisations des environnements

Rôle	Description
Creator	Rôle global, disponible avec l’option Sécurité du hub d’environnements. Les membres de ce rôle peuvent créer l’environnement dans le projet. Les contributeurs sont par défaut ajoutés en tant que membres. Obligatoire pour déclencher un pipeline YAML lorsque l’environnement n’existe pas déjà.
Lecteur	Les membres de ce rôle peuvent afficher l’environnement.
Utilisateur	Les membres de ce rôle peuvent utiliser l’environnement lors de la création et de la modification de pipelines YAML.
Administrateur	Les membres de ce rôle peuvent gérer des autorisations, créer, gérer, afficher et utiliser des environnements. Pour un environnement particulier, son créateur est ajouté en tant que Administrateur par défaut. Les administrateurs peuvent également ouvrir l’accès à un environnement à tous les pipelines.

FAQ

Consultez ci-dessous la FAQ sur les autorisations des pipelines.

Q : Pourquoi ne puis-je pas créer de pipeline ?

R : Vous avez besoin des autorisations Modifier le pipeline de build pour créer un pipeline. Pour ajouter une autorisation, ouvrez les paramètres de sécurité de tous les pipelines et vérifiez que Modifier le pipeline de build est défini sur Autoriser pour votre groupe de sécurité.

Si vous ne pouvez toujours pas créer de pipeline, vérifiez si votre niveau d’accès est défini sur Partie prenante. Si vous avez accès aux parties prenantes, modifiez votre accès en De base.

Q : Pourquoi le message indiquant que je dois autoriser une ressource pour que l’exécution puisse continuer apparaît-il ?

R : Vous devez autoriser les ressources pour pouvoir les utiliser. Cette règle comporte une exception : la première fois que vous créez un pipeline. Toutes les ressources auxquelles le fichier YAML fait référence sont alors automatiquement autorisées. Les ressources sont autorisées pour le pipeline tant qu’elles sont accessibles par l’utilisateur qui exécute ce pipeline.

Pour autoriser Tous les pipelines à accéder à une ressource telle qu’un pool d’agents, procédez comme suit.

1. Dans votre projet, sélectionnez Paramètres>Pipelines>Pools d’agents.

2. Sélectionnez Sécurité pour un pool d’agents spécifique, puis mettez à jour les autorisations pour accorder l’accès à tous les pipelines.

   

   Pour plus d’informations, consultez Ressources dans YAML.

Articles connexes

• Définition des autorisations de build et de mise en production
• Autorisations et accès par défaut
• Informations de référence sur les autorisations et les groupes
• Résoudre les problèmes de connexion de service Azure Resource Manager